Apache web server content pack (контент багц)

← Контент багцууд

Энэ багц нь Linux систем дээрх Apache HTTP серверт зориулагдсан. Багц нь Apache2 access логийг задалж тохируулна. Энэ нь access логийн хоёр форматыг дэмжинэ: Common болон Combined. Мөн "энгийн" лог болон virtual host-ын логийг дэмжинэ.

Дэмжигдэх хувилбарууд

Хувилбар 2.4.

Туршсан rsyslog хувилбар: 8.2212.0

Юу багтсан бэ

Apache логийг Security Data Lake схемтэй нийцтэй талбарууд болгон задлах parsing дүрмүүд. Apache логууд GIM code 180200 (http.communication)-ийг авна.

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Apache2 Device Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Illuminate: Apache2 Messages"

Лог форматын жишээ

Access Logs

[30/Jan/2023:15:06:52 +0000] "GET / HTTP/1.1" 200 3477 "-" “Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/109.0 ::1 - Stefan [07/Feb/2023:16:38:37 +0000] "GET /favicon.ico HTTP/1.1" 404 487 "http://localhost/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36"

Error Logs (beta, дараах форматуудыг дэмжинэ)

[Sun Jul 01 01:06:13 2022] [error] [client 1.2.3.4] File does not exist: /var/www/html/robots.txt [Wed Feb 01 00:00:01.584207 2023] [mpm_event:notice] [pid 745:tid 539654844431424] AH00999: Apache/9.4.41 (Ubuntu) configured -- resuming [Wed Jul 15 01:34:12.093005 2020] [proxy:error] [pid 139:tid 133316032] (13)Permission denied: AH00957: HTTP: attempt to connect to 127.0.0.1:9000 (127.0.0.1) failed

Дэмжигдэх SSL лог формат (beta дэмжлэг)

[13/Aug/2022:05:41:26 +0600] 192.168.0.100 TLSv1.2 ECDHE-RSA-AES128-GCM-SHA256 "GET /bitdefender/helper.php?cmd=gethelper HTTP/1.1" 1375

Эдгээр SSL логууд нь custom лог тул системээ үүний дагуу тохируулна уу. Custom файлын нэр: httpd-ssl.log. Эдгээр нь анхдагч талбар/утгууд юм. Анхдагч бус талбар эсвэл дараалалтай логууд ажиллахгүй.

Шаардлага

• Лог дамжуулах хоёр аргыг дэмжинэ: Filebeat (Sidecar-тай) болон rsyslog.
• Нэр (access.log) өөрчлөгдөхгүй байвал багц нь стандарт бус лог хавтсыг дэмжинэ.

Filebeat болон Bitdefender Sidecar-аар лог оруулах

Security Data Lake сервер болон клиент(үүд)-ээ тохируулахын тулд Sidecar documentation-ийг үзнэ үү.

Дараах алхмуудыг хийх шаардлагатай:

1. 1
   Beats input үүсгэх.
2. 2
   Security Data Lake REST API token үүсгэж хадгалах.
3. 3
   Bitdefender Sidecar суулгах.
4. 4
   Клиент(үүд)-ээ нэмэх, жишээ нь вэб сервер.

Security Data Lake-ийн тохиргоо

1. 1
   Security Data Lake дотор Beats input үүсгэнэ. Энэ Bitdefender Forwarder input-ыг хэрхэн үүсгэж тохируулах талаар Beats input хэсгийг үзнэ үү.
2. 2
   Security Data Lake REST API access token үүсгэж хадгална. Дэлгэрэнгүйг Installing Sidecar (Section 1.2, Create an API token) хэсгээс үзнэ үү.
3. 3
   System > Sidecars > Configuration хэсэгт filebeat on Linux collector ашиглан (Linux) filebeat тохиргоо үүсгэнэ.
4. 4
   Файлыг тохируулж дараахыг нэмнэ:

   • hosts дор зөв IP хаяг.

   Анхаар

   Та Bitdefender Forwarder-ийн IP хаяг болон Beats input profile-д тодорхойлсон port-ыг оруулах ёстой.

   • Лог эх сурвалжийг хүссэн утгаар тохируулж, event_source_product талбарт apache_httpd утга оруулна.

filebeat.inputs:
- input_type: log
  paths:
    - /var/log/apache2/access.log
    - /var/log/apache2/error.log
    - /var/log/apache2/httpd-ssl.log
  type: filestream
  fields_under_root: true
  fields:
    event_source_product: apache_httpd

Энэ нь зөвхөн Apache access логийг бүртгэнэ, гэхдээ алдааны лог зэргийг нэмж болно.

5. 5
   Тохиргоог хадгалж суулгацыг дуусгана.

Filebeat болон Bitdefender Sidecar-тай клиентийг тохируулах

1. 1
   Алсын машин дээр Bitdefender Sidecar-ийг суулгаж, идэвхжүүлж, шалгана. Дэлгэрэнгүйг Installing Sidecar хэсгээс үзнэ үү.
2. 2
   Filebeat-ийг албан ёсны баримт бичгийн зааврын дагуу суулгана. Эсвэл Filebeat-ийн зөвхөн OSS хувилбарыг татаж суулгаж болно.

   • Filebeat-ийг гараар суулгаж байгаа бол суулгах хавтас болгон /etc/filebeat-ийг ашиглана.
   • Хэрэв apt-get-ээр суулгавал зөв хавтас автоматаар сонгогдоно.

Ubuntu-д зориулсан командын жишээ:

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://artifacts.elastic.co/packages/oss-8.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-8.x.list
sudo apt-get update && sudo apt-get install filebeat
sudo systemctl enable filebeat
sudo systemctl start filebeat
sudo systemctl status filebeat

3. 3
   (Заавал биш) Шаардлагатай бол filebeat.yml файлыг засна. Үүнийг Security Data Lake интерфэйс дэх Sidecar тохиргоогоор хийж болно.
4. 4
   Daemon-ыг ажиллуулна. Хэрэв зөвшөөрлийн (permission) асуудал гарвал дараах командыг ажиллуулж шийдэж болно:

sudo chown root filebeat.yml

5. 5
   (Зөвлөмж) Filebeat-ийг дахин ачаалсны дараа автоматаар эхлэхээр тохируулна.
6. 6
   Security Data Lake дотор өөрийн машинд тохиргоог оноож өгнө.

rsyslog-оор лог оруулах шаардлага

• Forwarder input profile дор тохируулсан Syslog UDP эсвэл Syslog TCP input.
• rsyslog-ийг албан ёсны баримт бичгийн дагуу суулгах.
• Тохируулсан rsyslog.conf файл.

IP 192.168.122.52, port 1514 дээр UDP input-тай /etc/rsyslog.conf файлын жишээ:

# provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 1514
*.* @192.168.122.52:1514;RSYSLOG_SyslogProtocol23Format

• Тохируулсан 02-apache2.conf.

Та тохиргооны файлыг дараах командаар үүсгэх шаардлагатай байж болно:

sudo gedit /etc/rsyslog.d/02-apache2.conf

Хэрэв зөв хавтсанд байвал rsyslog үйлчилгээг дахин эхлүүлсний дараа файлыг автоматаар ачаална.

Access, SSL болон error логийг бүртгэх 02-apache2.conf-ийн жишээ:

module(load="imfile" PollingInterval="10" statefile.directory="/var/spool/rsyslog")
input(type="imfile"
      File="/var/log/apache2/access.log"
      Tag="apache2_http_access"
      Severity="info"
      Facility="local6")
input(type="imfile"
      File="/var/log/apache2/error.log"
      Tag="apache2_http_error"
      Severity="info"
      Facility="local6")
input(type="imfile"
      File="/var/log/apache2/httpd-ssl.log"
      Tag="apache2_http_ssl"
      Severity="info"
      Facility="local6")
local6.access        @192.168.122.40:1514

Ubuntu дээр үйлчилгээг дахин эхлүүлэх команд:

sudo systemctl restart rsyslog

Төлвийг дараах командаар шалгаж болно:

sudo systemctl status rsyslog

Улаан мөрүүд нь асуудал байгааг илтгэж болохыг анхаарна уу.

Хязгаарлалт

Error логууд нь beta; ихэнх формат нийцтэй.

Dashboard

Apache Web Server нь 2 табтай dashboard санал болгоно: Overview болон Error Messages.